Gartner 在 2026 年 5 月發出一項警告，內容與多數企業主管的直覺完全相反：對所有 AI 代理套用統一治理政策，本身就是企業 AI 代理項目失敗的成因之一。大部分董事會的本能剛好相反，制定一套標準政策、全面套用、宣布風險已受控。
這種本能之所以失效，是因為 AI 代理並非應用程式，而是身份。它們持有憑證、申請權限、執行動作、留下審計軌跡，而每一個代理承擔的後果程度截然不同。一個只讀取內部政策文件的代理，與一個獲授權透過支付閘道轉移款項的代理，不可能共用同一套治理範本。
解決這個問題的概念，叫做非人類身份。它是企業存取控制中增長最快的缺口，而香港大部分機構至今連一份清單都沒有。
什麼是非人類身份？
非人類身份（Non-Human Identity，NHI）指任何在你系統內運作、但背後沒有真人操作鍵盤的數位身份。它涵蓋服務帳戶、API 金鑰、機器憑證、工作負載身份、機器人，以及日益普及的自主 AI 代理。每一個都會進行認證、持有權限，並執行可歸屬於你的機構的動作。
在商業層面，真正關鍵的分野是自主性。服務帳戶執行固定、可預測的腳本；AI 代理則自行決定下一步做什麼。
這一項差異意味著，代理的權限足跡無法單憑程式碼事先推算，必須改在身份層面加以治理。
為什麼代理身份在 2026 年變得迫切？
因為數量在控制措施出現之前已經爆發。根據 Palo Alto Networks《2026 年身份安全格局報告》，機器身份數量已達人類身份的 109 倍，一年前僅為 82 倍。這 109 個之中，約 79 個是 AI 代理。報告預測，未來十二個月代理身份將再增長 85%。
KPMG 2026 年網絡安全報告則將比例定為 80 比 1，並將非人類身份列為今年資訊安全主管的關鍵優先事項。
兩份研究的方法論不同，方向卻一致。任何具規模運行 AI 的機構，都已新增數以千計持有憑證的行動者，而其身份治理流程從未被設計來看見它們。
Gartner 第二項預測，才是應該送到風險委員會桌上的一句話：到 2027 年，40% 企業將降級或停用自主 AI 代理，原因是治理缺口只在生產事故發生之後才被發現。不是部署之前，而是之後。
AI 代理身份與服務帳戶有何不同？
服務帳戶有固定範圍、可預測的呼叫模式，以及安全團隊可以一次盤點完成的靜態憑證。AI 代理則有可變範圍、無法預測的呼叫模式，並且經常在執行時繼承某位真人使用者的權限。審計問題於是從「這段腳本執行了什麼」，變成「這個代理為什麼決定這樣做」。
由此帶來三項實際後果。
--- 權限繼承成為主要風險。代理若代表財務經理行事，就能觸及該經理能觸及的一切，而那幾乎從來不是代理真正需要的範圍。
--- 異常基線更難設定。對推理系統而言，不尋常的行為本身就是常態，因此以流量為基礎的告警只會製造噪音，而非訊號。
--- 責任歸屬消失。服務帳戶屬於某個系統；代理卻由業務團隊在 Copilot Studio 之類的平台上自行建立，IT 部門根本不知道它們存在。這與我們在影子 AI 治理指南中討論的動態相同，只是對象由工具換成憑證。
MCP 2026-07-28 授權變更對企業意味著什麼？
Model Context Protocol 於 2026 年 7 月 28 日發布 2026-07-28 版規範，其中授權部分正是你的 IT 總監必須閱讀的內容。MCP 授權現已與生產環境的 OAuth 2.0 及 OpenID Connect 對齊，代理連接器因此可以直接整合 Microsoft Entra ID 或 Okta，不需再另寫繞道方案。
其中兩項條文對企業採購者尤其重要。
--- 企業級託管授權。管理員在組織層面一次性授權連接器，使用者則透過既有身份供應商的群組繼承權限。逐一使用者同意的彈窗消失，隨之消失的還有那條由彈窗衍生出來的影子審批路徑。
--- 身份斷言 JWT 授權授予（ID-JAG）。在單一登入過程中，客戶端以 RFC 8693 權杖交換機制，將使用者的身份權杖換成一張僅限某一目標伺服器使用的授予。用白話說：代理拿到的是一張範圍狹窄、用途綁定的門票，而非一把長期通用的鑰匙。
該規範同時加入與 OpenTelemetry 對齊的可觀測性，這正是讓代理活動由「有記錄」升級為「可審計」的關鍵。
Anthropic 已確認 Claude 支援新版規範。策略上的解讀很直接：做好代理身份所需的工具，已於 2026 年 7 月到位。「標準還未成熟」這個藉口已經失效。
代理身份框架的五項控制是什麼？
一套可行的框架只需五項控制，每一項都有指定負責人，以及一個你可以實際測試的失效訊號。這種刻意的精簡是有意義的。五項真正落實的控制，勝過一份沒有人執行的二十頁政策。
控制一：具名真人負責人的登記冊
每個代理都有一筆記錄，載明用途、數據範圍、業務負責人與覆核日期。負責人是委託建立該代理的業務部門，而非 IT。
失效訊號：你無法在一小時內交出這份清單。
控制二：分層自主權，而非統一政策
按後果分級。第一層只讀取內部文件；第二層可寫入內部系統；第三層觸及客戶數據、資金或對外通訊。控制隨層級收緊，這正是 Gartner 所指、區分存活項目與被取消項目的漸進式做法。
失效訊號：你的政策文件把會議記錄代理與支付代理視為同一回事。
控制三：零常設權限與即時授權
代理在使用當刻取得範圍受限、有時效的憑證，而非永久金鑰。ID-JAG 讓這件過去只存在於理論的事變得可行。
失效訊號：即使明天刪除該代理，它的 API 金鑰仍然有效。
控制四：憑證保管庫與輪換
憑證存放於具備自動輪換機制的保管庫，絕不出現在提示詞、設定檔或試算表之中。負責人是安全營運團隊。
失效訊號：生產環境中有任何一項憑證從未輪換過。
控制五：行為監控與真人核准關卡
監控代理實際行為與其申報用途之間的落差，並要求第三層動作必須經真人簽核。這一點與我們的AI 代理治理框架直接銜接。
失效訊號：若代理開始讀取範圍以外的系統，一星期內都不會有人察覺。
這在香港企業會如何具體發生？
設想九龍灣一家 320 人的保險經紀公司。其營運團隊在低程式碼平台上建立了一個理賠分流代理。代理運作良好，同時也持有一組服務憑證，可讀取整個保單管理資料庫，因為那是讓試點最快跑起來的方法。
根據《個人資料（私隱）條例》，該經紀公司是資料使用者。保障資料第四原則要求採取一切切實可行的步驟，保護個人資料免受未經授權的查閱，而私隱專員公署在 2026 年的循規審查中，正是針對機構如何控制接觸個人資料的 AI 系統作出檢視。
令人不安的問題不在於代理是否有用，而在於該公司能否指出誰為那組憑證負責、能否書面說明其範圍、能否證明它最後一次輪換是何時。
在同等規模的香港機構中，有三種情況反覆出現。
--- 專業服務公司發現代理持有合夥人級別的客戶案件檔案權限，來自一個從未正式結案的試點。
--- 物流營運商發現代理對生產排程系統擁有寫入權限，而其認證使用的是分發給三家供應商的共用金鑰。
--- 物業管理集團的租戶助理繼承了設施帳戶的權限，而該帳戶可存取閉路電視元數據與住戶聯絡資料。
跳過代理身份工作會出什麼問題？
五種失效模式造成大部分損害，而五種在事故發生之前都是看得見的，前提是你願意去看。
--- 孤兒代理。建立它的員工已離職，憑證仍然有效，沒有人說得出它連到哪裡，於是也沒有人敢關掉它。
--- 權限蔓延。代理在啟用時範圍正確，其後工作流程調整讓它換用了權限更廣的服務帳戶，而原本的範圍文件從未更新。
--- 答不出「為什麼」的審計。日誌記錄了代理的每一個動作，卻沒有任何推理過程，因此監管機構若追問某一項具體決定，你並無可辯護的答案。
--- 統一政策癱瘓。因為同一套政策必須涵蓋支付代理，它變得極度嚴苛，連低風險代理也被一併封鎖，業務團隊於是徹底繞開 IT。
--- 供應商憑證黑箱。第三方 AI 工具持有進入你 CRM 的權杖，而你的合約並未規定輪換、範圍，或終止合作時的撤銷安排。
未來 30 天應該怎樣開始？
先盤點，後立法。多數機構把次序倒轉，為一個從未清點過的族群撰寫治理政策。
--- 第 1 至 10 天：盤點。查詢身份供應商中過去十八個月建立的服務主體與應用程式註冊，並直接詢問每一位部門主管，其團隊將哪些 AI 工具連上了公司系統。
--- 第 11 至 20 天：分級。按後果分成三層，為每一項第二層與第三層記錄指派具名真人負責人。第一層可以稍後處理。
--- 第 21 至 30 天：補救前十項風險。輪換憑證、收窄範圍、設定覆核日期。然後把層級定義與負責人清單帶到風險委員會，作為政策的第一個版本。
三十天可以產出一份登記冊、一張責任地圖，以及十個已關閉的缺口。這是一個站得住腳的位置；一份背後沒有盤點的政策文件，並不是。
策略結論
非人類身份，是 AI 野心與存取控制現實相遇的地方。代理早已在你的系統之內，持有你的身份治理流程看不見的憑證，而修補這個缺口所需的標準已在 2026 年 7 月到位。
真正補上缺口的領袖，不會是寫出最長政策的那一位，而是清點過自己有多少代理、為每一個指派負責人、並按後果分層設定控制的那一位。Gartner 對統一治理的警告，實質上是在主張精準勝於全面。
精準需要一位見過失敗模式的夥伴。懂AI，更懂你 UD相伴，AI不冷。
本文由 UD 企業 AI 團隊審閱。
從哪裡開始
在撰寫代理身份政策之前，先弄清楚你的機構實際準備到什麼程度。UD 的準備度評估會盤點你目前的 AI 足跡、權限暴露面與治理缺口，並與同規模企業的實際做法對照。UD 團隊手把手帶你完成每一步，從盤點、分級，到補救與向董事會匯報。28 年香港企業服務經驗，全程陪你走。
